DPO - hvornår skal virksomheden have en databeskyttelsesrådgiver?

DPO står for data protection officer. På dansk hedder funktionen databeskyttelsesrådgiver, og det er den betegnelse, forordningen bruger. Rådgiveren er virksomhedens interne vagthund på persondataområdet. Vedkommende skal kende reglerne, fortælle ledelsen og medarbejderne, hvad de kræver, og kontrollere, om de bliver overholdt i praksis.

Det er vigtigt at holde to roller adskilt. Det er virksomheden som dataansvarlig eller databehandler, der skal overholde GDPR, og det er virksomheden, der skal inddrage og støtte rådgiveren (artikel 38, stk. 1-2). Rådgiveren rådgiver og overvåger, men træffer ikke ledelsens beslutninger. Når en virksomhed har en DPO, flytter ansvaret sig altså ikke fra direktionen til en enkelt medarbejder.

Spørgsmålet om en DPO er ét blandt flere, når en virksomhed skal have styr på persondata. Overblikket over de øvrige pligter, fra fortegnelse til sikkerhed, finder du på siden om GDPR for virksomheder. Er du ved at sætte en ny virksomhed op, kan siden om erhvervsjura hjælpe med resten af de juridiske rammer.

Forordningen nævner tre situationer, hvor den dataansvarlige og databehandleren skal udpege en databeskyttelsesrådgiver (artikel 37, stk. 1, litra a-c). Uden for dem er det frivilligt, medmindre en anden regel i EU-retten eller dansk ret kræver det (artikel 37, stk. 4). Tabellen samler tilfældene, og eksemplerne viser typiske situationer, ikke faste grænser.

Læg mærke til to ting. For det første står virksomhedens størrelse ingen steder i artikel 37. En lille virksomhed med få ansatte kan være omfattet, og en stor kan gå fri. For det andet gælder pligten både den dataansvarlige og databehandleren. En IT-leverandør, der som sin forretning behandler helbredsdata i stort omfang for sine kunder, kan derfor selv have pligt til en DPO, uanset om den enkelte kunde har.

Kravene i litra b og c hænger på tre begreber, som forordningen ikke definerer med tal. Det er her, de fleste tvivlsspørgsmål opstår, og det er her, en vurdering skal skrives ned.

Kerneaktivitet

Kerneaktiviteter er virksomhedens hovedaktiviteter og ikke den behandling af persondata, der sker som biaktivitet (betragtning 97). Alle virksomheder med ansatte behandler lønoplysninger, men det gør ikke løn til kerneaktiviteten for en tømrer eller en bager. Omvendt er behandlingen en kerneaktivitet, når forretningen slet ikke kan drives uden den. Et nyttigt spørgsmål er derfor, om virksomheden stadig ville have en ydelse at sælge, hvis man fjernede behandlingen af persondata.

Stort omfang

Forordningen sætter ingen grænse for, hvor mange personer eller hvor mange oplysninger der skal til. Der findes ikke et antal, som udløser pligten. I vurderingen indgår typisk, hvor mange personer behandlingen rammer, hvor mange slags oplysninger der behandles, hvor længe behandlingen står på, og hvor stort et geografisk område den dækker. Én læge med egne patienter ligger et andet sted på skalaen end en landsdækkende tjeneste med brugere i hele landet.

Regelmæssig og systematisk overvågning

Regelmæssig betyder, at overvågningen sker løbende eller gentages, ikke at den sker én gang. Systematisk betyder, at den følger en plan eller en metode, fx fordi den er bygget ind i et produkt. Begge dele skal være til stede, og overvågningen skal ifølge artikel 37, stk. 1, litra b, følge af behandlingens karakter, omfang og/eller formål. Sporing af positioner, profilering af kunders adfærd over tid og opkoblede apparater, der sender målinger hjem, er typiske eksempler på, hvad der kan falde ind under begrebet.

Artikel 39, stk. 1, opregner de opgaver, en databeskyttelsesrådgiver som minimum har. Listen er et gulv, ikke et loft, og virksomheden kan lægge flere opgaver ind i rollen, så længe de ikke skaber en interessekonflikt.

1. Rådgive. Underrette og rådgive ledelsen og de ansatte, der behandler persondata, om deres pligter efter forordningen og andre databeskyttelsesregler (litra a).
2. Overvåge. Kontrollere, om reglerne og virksomhedens egne politikker bliver fulgt, herunder fordelingen af ansvar, uddannelse af personalet og de tilhørende revisioner (litra b).
3. Følge risikovurderinger. Rådgive, når der anmodes om det, om en konsekvensanalyse og overvåge, at den bliver gennemført (litra c).
4. Samarbejde med Datatilsynet. Samarbejde med tilsynsmyndigheden og være dens kontaktpunkt, også ved forudgående høring efter artikel 36 (litra d og e).

Rådgiveren skal prioritere efter risiko og tage hensyn til behandlingens karakter, omfang, sammenhæng og formål (artikel 39, stk. 2). I praksis betyder det, at tiden bruges der, hvor der behandles følsomme oplysninger eller mange personers data, og mindre på et internt nyhedsbrev. Derudover kan de registrerede selv henvende sig til rådgiveren om alt, der handler om behandlingen af deres oplysninger og deres rettigheder (artikel 38, stk. 4).

En rådgiver, der kan få at vide, hvad konklusionen skal være, er ikke meget værd. Derfor stiller artikel 38 en række krav til virksomheden, ikke til rådgiveren selv. Virksomheden skal sikre, at rådgiveren ikke modtager instrukser om udførelsen af opgaverne, og må ikke afskedige eller straffe rådgiveren for at udføre dem. Rådgiveren rapporterer direkte til det øverste ledelsesniveau (artikel 38, stk. 3).

Virksomheden skal desuden inddrage rådgiveren tilstrækkeligt og rettidigt i alle spørgsmål om persondata og stille de ressourcer til rådighed, der skal til for at løse opgaverne og holde ekspertisen ved lige (artikel 38, stk. 1-2). En DPO, der først hører om et nyt system, når det er sat i drift, er ikke inddraget rettidigt.

Rådgiveren må gerne have andre opgaver, men virksomheden skal sikre, at de ikke medfører en interessekonflikt (artikel 38, stk. 6). Forordningen opregner ingen forbudte stillinger. Den afgørende test er, om personen selv fastlægger, hvad persondata skal bruges til, og hvordan. Gør vedkommende det, kommer rådgiveren til at kontrollere sine egne beslutninger. Det taler imod at lægge rollen hos den, der leder IT, HR eller markedsføring, eller hos direktøren selv.

Rådgiveren har tavshedspligt efter artikel 38, stk. 5. I Danmark følger det af databeskyttelsesloven § 24, at en rådgiver udpeget efter artikel 37, stk. 1, litra b eller c, ikke uberettiget må videregive eller udnytte oplysninger, som vedkommende er blevet bekendt med i hvervet.

Rådgiveren kan være ansat i virksomheden eller udføre hvervet på grundlag af en kontrakt om en tjenesteydelse (artikel 37, stk. 6). Begge modeller er lige gyldige. Valget handler om, hvor meget tid rollen kræver, og om der findes en medarbejder uden interessekonflikt og med den nødvendige faglighed. Rådgiveren skal udpeges på grundlag af sine faglige kvalifikationer, navnlig ekspertise i databeskyttelsesret og praksis og evnen til at løse opgaverne i artikel 39 (artikel 37, stk. 5).

En koncern kan udpege én fælles rådgiver for flere selskaber, men kun hvis alle etableringer har let adgang til vedkommende (artikel 37, stk. 2). Let adgang handler både om sprog, tilgængelighed og tid. En fælles rådgiver, der i praksis ikke kan nås fra et datterselskab, opfylder ikke kravet. Offentlige myndigheder kan tilsvarende dele en rådgiver (artikel 37, stk. 3).

• Skriv ned, hvorfor virksomheden har pligt til en DPO, eller hvorfor den ikke har.
• Vælg en person uden ansvar for de behandlinger, der skal overvåges.
• Beskriv rapporteringsvejen til den øverste ledelse.
• Afsæt tid og ressourcer, og beslut, hvordan rådgiveren holder sig opdateret.
• Offentliggør kontaktoplysningerne, og meddel dem til Datatilsynet (artikel 37, stk. 7).
• Tilføj kontaktoplysningerne i den information, de registrerede får ved indsamling (artikel 13, stk. 1, litra b).

Forordningen kræver kontaktoplysninger, ikke et navn. En fast funktionsadresse sikrer, at henvendelser når frem, også når personen bag rollen skifter.

Uden for de lovpligtige tilfælde kan virksomheden frit vælge at udpege en databeskyttelsesrådgiver (artikel 37, stk. 4). Det kan give mening, når virksomheden ligger tæt på grænsen i litra b eller c, når kunder eller samarbejdspartnere spørger efter en navngiven kontakt, eller når virksomheden vokser og vil have styr på reglerne, før den behandler mere data.

Beslutningen har en konsekvens, som mange overser. Artikel 38 og 39 taler om databeskyttelsesrådgiveren uden at skelne mellem en frivillig og en lovpligtig udpegning. Kalder virksomheden en medarbejder for DPO, bør den derfor regne med, at kravene til uafhængighed, inddragelse og beskyttelse mod afskedigelse for opgaverne også gælder.

Ønsker virksomheden blot en medarbejder med ansvar for persondata, kan rollen få en anden titel, fx privacy-ansvarlig eller GDPR-koordinator. Så er det vigtigt, at hverken intern kommunikation eller oplysninger til kunder omtaler personen som databeskyttelsesrådgiver. Den kontaktoplysning, artikel 13, stk. 1, litra b, nævner, gælder en eventuel rådgiver, og ikke en koordinator med en anden rolle.

To virksomheder med nogenlunde samme antal ansatte kan få to forskellige svar, fordi artikel 37 ser på, hvad virksomheden laver, og ikke på hvor stor den er.

Forskellen ligger ikke i antallet af ansatte, men i, hvad behandlingen af persondata betyder for forretningen. Ellinor bør også skrive vurderingen ned, så hun kan vise, hvornår og hvorfor rådgiveren blev udpeget.